Penetration tests

„IT-Security basiert nicht nur auf Technik.“

Carl Dietzel, CEO

WordCloud_Nearshoring

Motivation

The effectiveness of defined security measures can be checked as best as possible using a penetration test. This test examines the robustness of the measures and controls and identifies open weaknesses that can be closed after the test.

Der Penetrationstest kann auch dann hilfreich sein, um nach einem erfolgten Zugriff externer Dritter auf Unternehmenssysteme und deren forensischer Analyse, hierdurch weitere offene Schwachstellen festzustellen. Auch sollten eigenentwickelte Anwendungen vor dem Produktivbetrieb einem Penetrationstest unterzogen werden, um mögliche Schwachstellen zu identifizieren.

Test types

Penetration tests are typically carried out as a black box or white box test. If the motivation for a test is to answer the question of whether unknown third parties can gain access to company data, this can be achieved using a black box test. The tester only has rudimentary knowledge of the target system, for example an IP address of the system. In the further activities, the tester behaves like a typical hacker in order to find a weak point based on the known address and, if necessary, to exploit it.

Im Rahmen des White Box-Tests erhalten die Tester detaillierte Informationen über die Zielumgebung (siehe „Scoping“) und können somit alle potentiellen Angriffsvektoren identifizieren und untersuchen. Bei einer umfangreichen Untersuchung ist der White Box-Test vorzuziehen, da hier aufgrund bekannter Detailinformationen zu den Anwendungen und Systemen keine Schwachstellen übersehen werden. Darüber hinaus kann dieser Test ausnutzbare Schwachstellen identifizieren, die von berechtigten Anwendern (Innentäter) ausgenutzt werden können. Ein White Box-Test liefert durch die Betrachtung von unterschiedlichen Angriffsszenarien dabei auch Informationen über Schwachstellen, die von Angreifern von außen ohne interne Kenntnisse ausgenutzt werden können, umfasst also auch die Sichtweise des Black Box-Tests.

WordCloud_Nearshoring
WordCloud_Nearshoring

Phases

The execution of a penetration test depends on the
respective system / application, but typically takes the following phases into account:

  • Scoping (Abstimmung über Testinhalte und Testvorgehen, Abstimmung relevanter Hintergrundinformation zum Test)
  • Reconnaissance (Informationssammlung /-beschaffung)
  • Enumeration (Identifikation von Angriffsvektoren)
  • Exploitation (Ausnutzen identifizierter Schwachstellen)
  • Documentation (Festhalten relevanter Testszenarien, Übersicht der Testergebnisse)

Packages

Die Umgebungen sind von Anwender zu Anwender verschieden, so dass wir gerne ein individuelles Angebot für Sie erstellen. Exemplarisch möchten wir Ihnen gerne unser Basispaket B1vorstellen:

B1 - basic penetration test with 1 system

The basic penetration test is a quick and inexpensive check with a combination of automated scans and manual checking for so-called false positives. The results are then clearly summarized in a report. Our basic penetration test includes the following activities (for a target system):

  • Festlegung des Test-Scopes und Vorstellung der Methode
  • Informationsbeschaffung über die Zielsysteme aus öffentlich verfügbaren Quellen, aus Port-Scans und Vulnerability-Scans mit anerkannter Standardsoftware (z.B. Nessus, OpenVAS, etc.)
  • Überprüfung der Scanergebnisse auf False Positives und Zusammenstellung von Angriffsvektoren
  • Erstellung eines Berichts mit Darstellung der Findings und Ihrem Risikopotential, inklusive CVSS-Score
  • Präsentation des Berichts und der Findings
WordCloud_Nearshoring

Sie interessieren sich für unsere Serviceleistungen? Wir sind stets für Sie da!

Um Ihnen die perfekte Lösung bieten zu können, benötigen wir genaue Informationen zu Ihren Anforderungen. Teilen Sie uns mit, wonach Sie suchen und Sie erhalten die bestmögliche Unterstützung.

Bitte geben Sie Ihren Namen ein.
Bitte geben Sie eine Nachricht ein.